Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Achtergrondinformatie

Probleem

Stap 1: Controleer de aanwezigheid van TLS 1.1

Oplossing

Stap 1: Schakel TLS 1.1 uit voor HTTP Server

Stap 2: TLS 1.1 uitschakelen voor HTTP-client

Gerelateerde informatie

Inleiding

In dit document wordt beschreven hoe u Transport Layer Security (TLS) 1.1 uitschakelt op Catalyst 9000-switches in LAN-netwerken.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- LAN-switchconcepten

- Basisnavigatie via de opdrachtregelinterface (CLI)

- Inzicht in TLS-protocollen

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Catalyst 9000-serie Switch

- Softwareversie: 17.6.5

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Dit document bevat een handleiding voor het lokaliseren en uitschakelen van TLS 1.1 op Catalyst 9000-switches.

Probleem

Het probleem is dat TLS 1.1 op de switch wordt gedetecteerd. Dit is gemarkeerd voor verschillende anti-kwetsbaarheden scan,

Stap 1: Controleer de aanwezigheid van TLS 1.1

Switch#show ip http server secure status

HTTP secure server status: Enabled

HTTP secure server port: 443

HTTP secure server ciphersuite:  rsa-aes-cbc-sha2 rsa-aes-gcm-sha2

dhe-aes-cbc-sha2 dhe-aes-gcm-sha2 ecdhe-rsa-aes-cbc-sha2

ecdhe-rsa-aes-gcm-sha2 ecdhe-ecdsa-aes-gcm-sha2 tls13-aes128-gcm-sha256

tls13-aes256-gcm-sha384 tls13-chacha20-poly1305-sha256

HTTP secure server TLS version:  TLSv1.3 TLSv1.2 TLSv1.1                    <<< Presense of TLSv1.1 in the HTTP Server

HTTP secure server client authentication: Disabled

HTTP secure server PIV authentication: Disabled

HTTP secure server PIV authorization only: Disabled

HTTP secure server trustpoint: TP-self-signed-3889524895

HTTP secure server peer validation trustpoint:

HTTP secure server ECDHE curve: secp256r1

HTTP secure server active session modules: ALL

Switch#show ip http client secure status

HTTP secure client ciphersuite:  rsa-aes-cbc-sha2 rsa-aes-gcm-sha2

dhe-aes-cbc-sha2 dhe-aes-gcm-sha2 ecdhe-rsa-aes-cbc-sha2

ecdhe-rsa-aes-gcm-sha2 ecdhe-ecdsa-aes-gcm-sha2 tls13-aes128-gcm-sha256

tls13-aes256-gcm-sha384 tls13-chacha20-poly1305-sha256

HTTP secure client TLS version:  TLSv1.3 TLSv1.2 TLSv1.1                   <<< Presence of TLSv1.1 in the HTTP client

HTTP secure client trustpoint:

Oplossing

Voer de volgende stappen uit om TLS 1.1 uit te schakelen op een Catalyst 9000-switch:

Stap 1: Schakel TLS 1.1 uit voor HTTP Server

Switch#configure terminal

Switch(config)#no ip http tls-version TLSv1.1

Stap 2: TLS 1.1 uitschakelen voor HTTP-client

Switch#configure terminal

Switch(config)#no ip http client tls-version TLSv1.1

Deze opdrachten zorgen ervoor dat TLS 1.1 is uitgeschakeld aan zowel de server- als de clientzijde van de switch, waardoor eventuele beveiligingsproblemen in verband met verouderde protocollen worden beperkt.

Gerelateerde informatie

- Cisco Technical Support en downloads